Подключите Signup Protection к процессу регистрации.

Что понадобится

Нужен аккаунт Emvero с подтвержденной почтой, страница регистрации по HTTPS, которую вы можете изменить, и серверный шаг до выдачи доступа новому аккаунту. Если вы используете готовый сервис авторизации или конструктор форм, проверьте, позволяет ли он добавить браузерные скрипты и выполнить собственную серверную проверку на этом этапе.

Также нужно достаточно кредитов для максимального резерва проверки. Оцененные сигналы стоят 5 кредитов, проверка email оплачивается отдельно. Если токен непригоден или оценка сигналов недоступна, за сигналы списывается 0, но в начале операции доступного баланса должно хватать на резерв. См. цены.

Сценарии и возможности продукта описаны в обзоре Signup Protection.

1. Включите подключение и создайте ключ страницы

Откройте Signup Protection в личном кабинете и включите подключение. Дождитесь состояния ready, затем создайте ключ страницы для HTTPS-origin страницы регистрации.

Origin состоит из схемы, имени хоста и необязательного порта, например https://signup.example.com. Он не содержит путь или параметры запроса. Публичный ключ страницы используется в браузере. Отдельный секретный API-ключ разрешает проверки с сервера.

В личном кабинете находятся сведения о подключении и пример кода для браузера. В руководстве установки описаны origin, файл скрипта с закрепленной версией и настройки Content-Security-Policy.

2. Получайте токен при показе формы

Установите скрипт токена и отдельно обслуживаемый скрипт проверки браузера. Добавьте скрытое поле токена внутрь формы регистрации. Начинайте сбор, когда форма становится видимой, после получения согласия, если оно требуется. Для формы в диалоге начинайте при его открытии.

Запишите возвращенный токен в скрытое поле, чтобы форма передала его серверу. При долгом заполнении обновите токен до истечения срока и снова запишите значение в поле. Если получать первый токен только при отправке, обычная регистрация может выглядеть необычно быстрой.

В инструкции по установке в браузере находятся актуальные файлы, код инициализации и описание обновления токена.

3. Проверяйте отправку формы с сервера

Прочитайте переданный токен в серверном обработчике регистрации. Перешлите IP-адрес, User-Agent и Client Hints, которые сервер действительно получил, с учетом настроек доверенных прокси. Пропустите данные для сравнения, которых у вас нет.

Выберите маршрут с учетом того, как у вас устроена проверка email:

Маршрут	Когда использовать	Что возвращает
POST /v1/signup-checks	Emvero должен проверить email-адрес и визит вместе.	Результат email, находки визита и общее рекомендуемое действие.
POST /v1/signup-signals	Приложение проверяет email отдельно или использует другого провайдера.	Находки визита и действие только по сигналам.

Оба маршрута требуют секретный API-ключ на сервере. Маршрут только сигналов не принимает email и variant. В совмещенной проверке variant выбирает глубину проверки email: full или domain. Проверка домена не устанавливает существование конкретного ящика.

В руководстве по API Signup Protection описаны примеры запросов, поля и аутентификация.

4. Применяйте рекомендуемое действие до выдачи доступа

В совмещенном ответе читайте внешнее action. Вложенное email.action описывает только проверку email. Значения могут различаться, если находка визита требует подтверждения.

Рекомендуемое действие	Следующий шаг приложения
allow	Продолжить процесс по своим правилам регистрации и доступа.
allow_with_email_confirmation	Отправить письмо подтверждения и потребовать завершить подтверждение до выдачи соответствующего доступа.
reject	Обработать отказ по email-адресу в форме регистрации. Это действие возвращает проверка email.

Сигналы визита могут потребовать подтверждения, но сами никогда не рекомендуют отказ. Находки VPN, Tor, прокси и хостинга по умолчанию информационные. Приложение отвечает за письма подтверждения и правила доступа.

В справочнике кодов сигналов описаны отдельные находки и их действия по умолчанию.

5. Обрабатывайте нехватку данных и ожидающие результаты

Эти результаты требуют разной обработки:

Результат	Значение и следующий шаг
Токен отсутствует или непригоден	Визит нельзя оценить по этому токену. Сигналы возвращают token_unusable и требуют подтверждения, если результат email иначе разрешал бы регистрацию.
Сервис сигналов недоступен	signals.status равен unavailable. Общее действие следует результату email. При проверке только сигналов действие равно allow, но визит не оценен. Примените свои правила на случай недоступности сервиса.
Проверка email еще не завершена	Пока проверка email не завершена, общее действие требует подтверждения. Запросите сохраненную проверку через email.retry_after_ms. Визит повторно не оценивается.

Блокировка браузерного скрипта может оставить форму без токена. Это отличается от недоступности сервиса сигналов. При этом по отдельному сравнению браузера может не быть оценки, хотя общий результат сигналов имеет статус evaluated.

При повторе из-за ошибки передачи сохраняйте те же Idempotency-Key и тело исходного запроса. Полные правила описаны в разделах об ожидающих проверках и идемпотентности.

6. Проверьте весь процесс регистрации

Отправьте тестовую регистрацию со своего разрешенного HTTPS-origin через свой сервер. Изучите сохраненный результат и убедитесь, что:

• форма передает токен, а сервер пересылает доступные сведения о запросе;
• результат содержит signals.status: evaluated;
• приложение применяет внешнее действие до выдачи соответствующего доступа;
• подтверждение и обработка недоступных результатов работают по выбранным правилам.

Готовое подключение, ключ страницы или записанный браузерный трафик не подтверждают работу всей цепочки. После получения оценки отдельно убедитесь, что приложение правильно применяет результат.

При планировании сбора, хранения и удаления прочитайте политику конфиденциальности и сведения о безопасности. Emvero обрабатывает данные визита в собственной инфраструктуре в Евросоюзе. Срок хранения результатов сигналов 30 дней не распространяется на все наблюдения соединений и статистику.